theflink/hunt-weird-imageloadsPequeña herramienta para jugar con IOCs provocados por eventos de Imageload
Este proyecto fue creado para jugar con diferentes IOCs causados por eventos ImageLoad.
Aprovecha ETW para monitorear eventos ImageLoad y recorre el callstack para identificar algunos posibles IOCs, tales como:
Hay dos programas de ejemplo para module proxying y dedicated threads en este repositorio.
En mis pruebas, tuve muchos falsos positivos monitoreando páginas privadas o módulos stomped en el callstack y esto probablemente no sea un IOC válido.
Sin embargo, parece que tanto module proxying como dedicated threads son bastante anormales, pero compruébalo tú mismo.
--all activa todas las alertas
--rx alerta sobre regiones rx privadas en el callstack
--rwx alerta sobre regiones rwx privadas en el callstack
--stomped alerta sobre módulos stomped en el callstack
--proxy alerta sobre llamadas anormales a kernel32!loadlibrary desde ntdll
--dedicatedthread alerta sobre hilos con baseaddr en loadlibrary*